在现代数字世界中，敏感信息经常流向我们无法控制的服务器。医生可能会将患者的 X 光片发送到远程云服务以进行诊断，或者研究人员可能会将私密的医疗记录上传到共享数据库进行分析。为了保护这些数据，一种常见的策略是在发送之前对其进行“打乱”。这种被称为“实例编码”（instance encoding）的过程，将原始的、敏感的文件转换为一种新的、压缩的版本，称为“嵌入”（embedding）。人们希望这个新版本包含足够的信息供远程服务器完成其任务，但又不至于让任何人能够通过逆向过程恢复出原始的、私密的文件。多年来，这种方法一直依赖于试错法。从业者们构建这些打乱工具并针对已知的黑客攻击进行测试，希望如果它们能通过测试，就是安全的。然而，由于缺乏坚实的理论保证，一个今天看起来安全的系统明天就可能被破解。一个根本性的问题一直悬而未决：解密数据到底有多难？我们能否在信任该系统处理我们的秘密之前，先证明其安全性？

宾夕法尼亚州立大学的研究团队现在为回答这个问题提供了一种新方法。他们开发了一套数学极限，可以预测攻击者从打乱后的版本中重建原始数据的准确度。与以往那些往往未能考虑到打乱工具具体运作方式，或要求工具必须添加随机噪声才能生效的尝试不同，这些新的极限即使在工具是完全确定性的且不添加任何噪声的情况下也能适用。研究人员发现，系统的安全性在很大程度上取决于数据变换的几何结构。具体而言，如果编码器丢弃了某些方向的信息而保留了其他方向的信息，那么数据就会变得极难重建。他们的新极限比旧方法更紧凑、更准确，能够正确识别一个系统是真正安全的还是存在漏洞的，即使在以往的理论认为其安全的情况下也是如此。

研究人员专注于一种特定类型的隐私保护，即用户向不受信任的服务器发送其数据的修改版本。目标是保持数据对于诸如训练人工智能模型等任务的有用性，同时使逆向工程还原原始输入变得不可能。长期以来，判断一个系统是否有效，唯一的办法就是尝试去破解它。如果攻击者无法恢复图像或文本，系统就被认为是安全的。但这是一种脆弱的防御。仅仅因为攻击者尚未找到破解锁的方法，并不意味着这把锁是不可破解的。研究人员希望超越这种猜测。他们寻求一种理论保证，即一种计算攻击者在尝试重建数据时必然会产生的最小误差的方法。这种误差充当了安全缓冲器；误差越大，数据的隐私性就越高。

该领域之前的研究已经建立了一个基本极限，但存在显著缺陷。那个旧的极限只有在编码器向数据添加随机噪声时才有效，而许多实际系统并不使用这种技术，因为这会降低数据质量。此外，那个极限通常过于宽松，这意味着它预测一个系统是安全的，而实际上它很容易被破解。它还仅以一种非常特定的方式衡量误差，即观察像素或数字之间的平均差异，但这并不总能捕捉到重建后的图像是否看起来像原始图像，或者是否包含敏感细节。这项新研究解决了所有这些问题。团队推导出了一个新的极限系列，这些极限考虑了编码器的内部结构。他们意识到，编码器就像一个过滤器，将数据投影到一个新的空间中。这个空间中的某些方向保留信息，而其他方向则丢弃信息。新的极限精确测量了在这些被丢弃的方向中丢失了多少信息。

研究人员发现，系统的安全性是由编码器的“谱”（spectrum）决定的，它描述了编码器沿不同方向保留信息的强度。如果一个编码器丢弃了大量信息，特别是那些难以从常识中推断出的信息，那么数据就会变得非常难以重建。他们的新极限比旧的极限要紧凑得多，这意味着它们能更精确地预测攻击者的成功率。在许多情况下，旧的极限暗示攻击者可以轻松恢复数据，而新的极限则显示重建效果会非常糟糕，反之亦然。至关重要的是，这些新的极限即使在编码器绝对不添加任何随机噪声的情况下依然有效。这是一个重大的实际改进，因为许多现实世界的系统使用的是确定性编码器，并不依赖随机性来实现安全性。

为了测试他们的理论，研究人员将这些新极限应用于多种场景，并使用了两个常见的图像数据集：包含手写数字的 MNIST 和包含猫、狗、飞机等小型彩色图像的 CIFAR-10。他们测试了不同类型的编码器，包括简单的线性变换和复杂的深度神经网络，并使其承受了各种攻击方法。在每种情况下，新的极限都成立。攻击者产生的实际误差从未低于预测的极限。研究人员还发现，他们的极限比之前的标准要紧凑得多，尤其是在编码器旨在丢弃特定类型信息的情况下。例如，当编码器被设置为忽略数据空间中的某些方向时，新极限正确地预测了重建将极其困难，而旧的极限则未能捕捉到这种难度。

该研究还引入了一种新的衡量重建难度的方法，这比仅仅观察原始误差数值更有用。由于绝对误差的大小可能难以解释，研究人员提出了一个比例，将实际的重建误差与如果编码器未透露任何信息时的最大可能误差进行比较。他们称之为“相对于天花板的比例”（ratio to ceiling）的这个比例，是一个实用的隐私指标。低比例意味着攻击者表现得几乎和没有任何数据时一样，表明隐私性很强。高比例则意味着攻击者获取了大量信息。当他们将重建后的图像可视化时，发现存在明显的关联：具有低比例的图像看起来像是模糊且无法辨认的噪声，而具有高比例的图像则显示出原始物体的清晰细节。

其中一个最令人惊讶的发现涉及两个数据集之间的差异。研究人员发现，来自 MNIST 数据集的手写数字比 CIFAR-10 中的复杂图像更难保护。即使在理论极限暗示数据应该是安全的时候，攻击者也往往能以惊人的准确度重建这些数字。原因在于数据本身的性质。手写数字非常简单，且位于低维结构上；知道一个数字的标签（例如，知道它是“7”）提供了如此多的信息，以至于攻击者只需很少的数据就能猜出数字的形状。相比之下，CIFAR-10 中的图像要多样得多。知道一张图片包含一只“猫”并不能帮助攻击者重建这只猫的具体特征，因为每只猫看起来都非常不同。这表明，所需的保护水平在很大程度上取决于所共享的数据类型。

研究人员还改进了计算这些极限所需的实用工具。为此，他们需要理解数据的统计模式，即所谓的“数据先验”（data prior）。他们并没有通过从头开始训练一个新模型来学习这些模式，而是展示了现有的、预训练的人工智能模型可以高精度地估计数据先验。这使得新的极限更容易应用于现实情况。他们测试了用于估计必要组成部分的各种方法，并发现使用一小部分样本通常足以获得可靠的结果，这使得计算效率足以满足实际应用需求。

最后，这项工作为一种流行的隐私技术提供了急需的理论基础。它使该领域从依赖可能被欺骗的经验测试，转向对编码器为何安全的严谨理解。新的极限表明，安全性不仅仅在于添加噪声或增加系统的复杂性，而是在于系统如何处理信息的几何结构。通过丢弃正确种类的信息，编码器可以实现即使在没有任何随机性的情况下也无法重建。虽然这项研究并不声称已经永久解决了隐私问题，但它为设计者评估其系统提供了一个强大的新工具。它允许设计者在部署前看到，其编码方法是足以保护敏感数据的强力手段，还是仅仅是一种安全的幻象。结果表明，对于许多现实世界的应用，尤其是涉及自然图像等复杂数据的应用，这些新的界限可以提供可靠的隐私度量，确保与不受信任的服务器共享的数据保持真正的私密性。